N-able N-central: Zero-Day „4EverAble2Shell“ wenige Stunden nach PoC-Veröffentlichung ausgenutzt

N-central ist eine Plattform für Remote Monitoring and Management (RMM), mit der Managed Service Provider (MSP) und IT-Abteilungen Geräte und Netzwerke ihrer Kunden aus der Ferne überwachen, verwalten und absichern. Nach Angaben von Bales verschaffen die beiden neuen Exploits Angreifern Root-Rechte auf N-central-Appliances beziehungsweise SYSTEM-Rechte auf Windows-Systemen. Er gab die Lücken am 12. November bekannt – nur zwei Tage, nachdem N-able Notfall-Updates gegen kritische N-central-Zero-Days veröffentlicht hatte, die Bales zuvor in derselben Woche publik gemacht hatte. Getestet hat er die neuen Exploits nach eigener Aussage gegen N-central Appliance 2026.4.1.26 HF2, also genau das am 10. November erschienene Sicherheitsupdate.

Mit 4EverAble2Shell können Angreifer ohne Authentifizierung Befehle als root auf verwundbaren N-central-Servern ausführen. Voraussetzung ist laut Bales, dass die Legacy-API-Funktion der Plattform aktiviert ist. Die Angriffskette verbindet eine Schwachstelle in Apache Axis (CVE-2026-90436) mit einer separaten Rechteausweitung in N-central. Agent2Shell zielt dagegen auf die Agent-Funktion von N-central und soll das Ausführen von Befehlen mit SYSTEM-Rechten auf Windows-Geräten ermöglichen.

Vorausgegangen war, dass N-able Anfang der Woche seine gehosteten N-central-Umgebungen vom Netz nahm und On-Premises-Kunden aufforderte, ihre Server herunterzufahren, nachdem Bales mehr als 30 mutmaßliche Zero-Day-Lücken veröffentlicht hatte. Bales kritisiert den Umgang des Herstellers mit den Meldungen und dessen langsame Reaktion auf verantwortungsvoll gemeldete Schwachstellen. „Es ist für mich viel, viel einfacher, meine Forschungsergebnisse einfach zu veröffentlichen, und der Hersteller kann entscheiden, was er damit macht, was er beheben will und was nicht usw. :)“, sagte Bales. Zudem habe N-able zwei unabhängige RCE-Lücken in einem anderen Produkt, die er dem Unternehmen im Juli gemeldet habe, bis heute nicht geschlossen.

In einem Sicherheitshinweis vom 12. November kündigte N-able zusätzliche Schutzmaßnahmen an, während weitere Korrekturen entwickelt werden. „Wir schränken bestimmte Funktionen und Integrationen von N-central ein“, erklärte das Unternehmen. „Diese Maßnahmen können einige Funktionen beeinträchtigen, aber wir halten zusätzliche Vorsichtsmaßnahmen bis zum Abschluss der Behebung für den richtigen Schritt, um unsere Partner und deren Kunden zu schützen.“ Vorsorglich hat N-able die Intune-Integration deaktiviert. On-Premises-Kunden sollen sicherstellen, dass der Legacy-API-Zugang abgeschaltet ist, was standardmäßig bereits der Fall ist. In gehosteten Umgebungen sind die Schutzmaßnahmen bereits umgesetzt; Kunden sollen zudem ihre Agents und Probes weiterhin gemäß der Hotfix-2-Anleitung aktualisieren. N-able gab an, keine Hinweise auf Kompromittierungen über die neuen Lücken gesehen zu haben – Sicherheitsforscher berichten inzwischen jedoch von erfolgreichen Angriffen auf produktive Server.

Das Sicherheitsunternehmen Previdian beobachtete am 12. November gegen 08:30 Uhr UTC erste verdächtige Anfragen an seinen N-central-Honeypot, die dieselbe Java-Klasse wie der öffentliche Exploit verwendeten. Zunächst suchten die Angreifer nur nach verwundbaren Servern, später versuchten sie die vollständige Exploit-Kette auszuführen. Diese entspricht dem PoC, den Bales auf GitHub veröffentlicht hat: Über CVE-2026-90436 werden zunächst Befehle unter dem Dienstkonto „nable“ ausgeführt, anschließend wird die Rechteausweitung genutzt. Dabei missbrauchen die Angreifer laut Previdian den privilegierten Helfer setLDFileOwner und einen symbolischen Link, um ein normalerweise root gehörendes Skript beschreibbar zu machen. Das Skript wird verändert und über die serverControl-Funktion von N-central als root ausgeführt; danach versuchen die Angreifer, die manipulierten Dateien wiederherzustellen. Die Nutzlast sollte ein weiteres Shell-Skript von dem Server 157.20.241[.]16 nachladen und Diagnosedaten sowie Befehlsausgaben an dieselbe IP-Adresse zurücksenden. Previdian führt die Rechteausweitung als VULN-2026-0009 und hat sie in seinen eigenen Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen.

Das Sicherheitsunternehmen Huntback sah dieselbe Angreifer-IP gegen 08:30 Uhr UTC an seinen Honeypots, erste Versuche mit der vollständigen Kette folgten um 09:16 Uhr UTC. Die Angreifer luden ein Shell-Skript, das den Monero-Miner XMRig installierte. Er war so konfiguriert, dass er etwa die Hälfte der verfügbaren CPU-Kerne nutzte – vermutlich, um weniger aufzufallen. Weitere Opfer fand Huntback über die Statistiken des Mining-Pools, in denen infizierte Systeme Kennungen nach dem Muster „nc_“ plus Server-IP trugen. Um 12:50 Uhr UTC zählten die Forscher 21 aktive Miner mit diesem Schema, die alle innerhalb der vorangegangenen fünf Minuten Mining-Shares eingereicht hatten. Hinter allen 21 IP-Adressen liefen N-central-Installationen, 19 davon in Version 2026.4.1.26, dem aktuellen Hotfix 2. Die Server stehen unter anderem in den USA, Kanada, Südafrika, Großbritannien, Deutschland, Frankreich und Schweden.

Bislang dienen die Angriffe vor allem dem Cryptojacking, doch kompromittierte N-central-Infrastruktur könnte auch für weitere Angriffe auf die verwalteten Kundenumgebungen missbraucht werden. Betreiber sollten prüfen:

• ob die Legacy APIs deaktiviert sind,
• verdächtige Anfragen an /dms/services/ServerUI, insbesondere mit Verweis auf jline.internal.TerminalLineSettings,
• unerwartete systemd-Dienste namens xvd.service,
• Mining-Prozesse,
• Dateien unter /tmp/.xvd oder /var/tmp/.xvd.

Da 4EverAble2Shell volle Root-Rechte verschafft, ist ein Server, auf dem diese Indikatoren gefunden werden, als vollständig kompromittiert zu behandeln.